Minimumskrav (NIS2)

Artikel 21, stk. 1, fastlægger den generelle pligt: passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til at styre risici for de net- og informationssystemer, der bruges til driften eller til at levere tjenester, og til at forebygge eller begrænse virkningen af hændelser. Foranstaltningerne skal tage højde for det aktuelle tekniske niveau, relevante europæiske og internationale standarder og omkostningerne, og proportionaliteten vurderes ud fra enhedens risikoeksponering, størrelse og sandsynligheden for og alvoren af hændelser, herunder deres samfundsmæssige og økonomiske virkning. Artikel 21, stk. 2, kræver derefter en tilgang, der dækker alle farer, altså fysiske hændelser som brand, oversvømmelse og strømsvigt lige så vel som angreb, og opregner ti områder, litra a til j, som foranstaltningerne mindst skal omfatte.

Listen er lige så meget organisatorisk som teknisk: a) politikker for risikoanalyse og informationssystemers sikkerhed; b) hændelseshåndtering; c) driftskontinuitet, herunder backupstyring, reetablering efter katastrofer og krisestyring; d) forsyningskædesikkerhed; e) sikkerhed ved erhvervelse, udvikling og vedligeholdelse, herunder håndtering og offentliggørelse af sårbarheder; f) politikker og procedurer til at vurdere foranstaltningernes effektivitet; g) grundlæggende cyberhygiejne og uddannelse; h) kryptografi og, hvor det er relevant, kryptering; i) personalesikkerhed, adgangskontrol og forvaltning af aktiver; og j) multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer, hvor det er relevant. Artikel 21, stk. 3, tilføjer, at foranstaltningerne i forsyningskæden skal tage højde for hver direkte leverandørs særlige sårbarheder, produktkvalitet og praksis for sikker udvikling, og stk. 4 kræver, at manglende overholdelse rettes uden unødigt ophold.

For udbydere af DNS, topdomæner, cloud, datacentre, CDN, managed services og managed security services, online markedspladser, søgemaskiner, sociale netværk og tillidstjenester omsætter Kommissionens gennemførelsesforordning (EU) 2024/2690 de ti områder til detaljerede tekniske og metodiske krav i sit bilag. For alle andre enheder gengiver den nationale gennemførelse, i Danmark § 6 i NIS2-loven, listen næsten ordret, og detaljerne overlades til vejledninger og anerkendte standarder.

I praksis kan de ti områder kobles tæt til ISO/IEC 27002:2022: hændelseshåndtering til kontrol 5.24-5.28, kontinuitet til 5.29-5.30 og backup til 8.13, leverandører til 5.19-5.22, sikker udvikling og sårbarheder til 8.8 og 8.25-8.28, effektivitet til 5.35 og ISO 27001 afsnit 9, awareness til 6.3, kryptografi til 8.24, adgangskontrol til 5.15-5.18 og autentificering til 8.5. To fejllæsninger går igen. "Minimum" betyder ikke let, for hvert område skal adresseres, og en nedskaleret indsats skal begrundes i risiko og størrelse; og "hvor det er relevant" i litra h og j er ikke et fravalg; i praksis betyder det, at man med en dokumenteret risikobegrundelse skal kunne vise, hvorfor fx MFA ikke bruges på et bestemt system.